Zuguterletzt die 3. logische AoA Anzeige.
Ja, sie erhöht die Sicherheit. Letztlich auch in einer 737, was spricht also gegen eine Nachrüstung?
Sie war mWn auch Voraussetzung für die Wiederzulassung der MAX8 durch die EASA und muss bis zur Zulassung der MAX 7 oder 10 realisiert sein.
Ich glaube, diese Forderung wurde noch nicht zurückgenommen.

Der AoA ist ein fehleranfälliger mechanischer Sensor. Da die Daten aus dem AoA und die Schlüsse die der Pilot aus den Daten zieht, sehr relevant für ein den Flug sind, halte ich es auch für SEHR wichtig, dass der Pilot via einem dritten realen oder virtuellen AoA einen Hinweis erhält, dass es eine Abweichung der Messung zwischen den AoA's gibt und damit motiviert wird, die Messwerte kritisch zu hinterfragen und auch ein Tool erhält, den fehlerhaften AoA zu identifizieren und in der Messung zu exkludieren. Wenn man so will, hat die Aufarbeitung, der beiden MCAS Unfälle gezeigt, dass die 737 konstruktiv eine alte Gurke ist, die den Piloten weniger Hilfsmittel an die Hand gibt, sicher zu fliegen. Der Pilot ist hier mehr gefordert, selbstständig die Messwerte zu hinterfragen und zu prüfen. Das ist ein Fakt, der war vor MCAS da und ist nach wie vor da. Die Forderung nach einem dritten AoA macht also bei der 737 wirklich Sinn und ist berechtigt.

ABER die Logic-Kette defekter AoA führt zu unbehebbaren Fehlsteuerung des Flugzeuges durch das MCAS ist nicht mehr oder nur noch minimal gegeben, dass die Chance in der gesamten Chance, dass es durch ein fehlerhaften AoA zu einem Unfall kommt auch mit MCAS nicht höher ist.

Wenn man als Grund anführt, die MAX ist aktuell mit MCAS nur mit 3 AoA zertifizierbar, falsch ABER eine dritter AoA würde den Flieger sicherer machen. Nur dejure mit dem Grandfather-Prizip ist eine MAX auch mit 2 AoA zulassungsfähig. Die Forderung der Europäer nach dem dritten virtuellen AoA bestehen auf jeden Fall weiter und wenn ich die EU wäre, dann würde ich auch weiter darauf bestehen. Das ist aber alles mehr Politik.

Das die 737 eine alte Gurke ist, muss man hier nicht immer weiter diskutieren und stellt auch keiner in Frage. De-jure gibt es aber das Grandfather-Prinzip.


Danke für diese ausführliche Antwort.

Nur dejure mit dem Grandfather-Prizip ist eine MAX auch mit 2 AoA zulassungsfähig. �.


Wissen Sie das oder ist das eine Annahme?

MCAS ist eine signifikante Abweichung von der Flugzeugsteuerung, da diese in Abhängigkeit von AoA-Daten einen aktiven Eingriff in die Steuerung macht, egal ob Stabilizer oder Ruder. Und ob hier bzgl. des Umfangs notwendiger AoA-Sensorik das Grandfather-Prinzip 1:1 eingesetzt werden kann, halte ich für immer noch unklar, es sei denn, hier kennt jemand exakt die Zulassungsbedingungen und argumentiert nicht auf Vermutungen.

Meine alte Frage ist somit noch immer nicht beantwortet:
Was genau wurde technisch bei der Neuauslegung des MCAS verändert, so dass ein 3. AOA nicht mehr erforderlich sein soll?

Ich versuche dem mich mal mit Ingenieurwissen etwas zu nähern, ohne die konkreten Details der 737MAX zu kennen:
Bei allen vorherigen 737 gab es auch 3 AoA Sensoren (!): 2 physikalische, und die beiden Piloten als dritter. Bedeutet: wenn die Daten der beiden Sensoren voneinander abweichen, ist es die Aufgabe der Piloten, anhand der Kenntnis des Flugverlaufs, anderer Daten und der zuletzt vorgenommen Eingaben in Steuerung und Computer diese Daten zu Validieren und die korrekten Daten zu bestimmen.

Gleiches gilt bei auch, wenn der Flugsteuerung durch den 737-FMC übernommen wird. Da der FMC aber nicht die detaillierten Kenntnisse über die o.g. Faktoren hat und vor allem kein â??Popometerâ??, braucht der Computer die Daten des 3. Sensors, um in der Lage zu sein eine Validierung der Sensordaten überhaupt durchführen zu können.

Nun, jetzt mag einer kommen und sagen, mit dieser Begründung könne kein Autopilot auf einer 2-Sensor-Redundanz arbeiten, was aber ja seit Erfindung des Autopiloten Standard ist. Jetzt komme ich mit Ingenieurwissen aus der allgemeinen funktionalen Sicherheit für sicherheitskritische Systeme (ohne die Details in der Avionik zu kennen, aber die Grundsätze dürften genauso gelten) daher:

Der Autopilot arbeitet im Normalbereich üblicherweise außerhalb kritischer Fluglagen. Und wenns kritisch wird (oder er die Situation z.B. wegen inkonsistenter Sensordaten) nicht einordnen kann, disengaged er und übergibt an den Piloten.
MCAS hingegen ist dafür designed per Definition in einer kritischen Flugsituation einzugreifen, um einen drohenden Stall abzuwenden.
Oder allgemeiner: der Autopilot hat als Rückfalloption den Piloten, MCAS hat den nicht! Denn wenn MCAS an dem Punkt gekommen ist, eingreifen zu müssen, dann haben die Piloten bis hierhin es nicht vermocht, diese Situation zu vermeiden. Von daher ist es für die Einstufung der Sicherheitsklassifizierung unerheblich, ob die Piloten jetzt MCAS-trainiert sind oder eine solche kritische Fluglage häufig oder selten ist. MCAS muss fehlerfrei funktionieren, sollte es eingreifen müssen, auch wenn das nur einmal in 20 Jahren bei der 737MAX-Weltflotte vorkommt.

Aus dieser grundsätzlichen �berlegung heraus müsste MCAS eine höhere Einstufung erhalten als der Autopilot, weil eben der Pilot im Fall eines MCAS-Eingriffs als Rückfalloption wegfällt, wenn die Voraussetzungen für das Arbeiten von MCAS nicht gegeben sind (z.B. konsistente AoA-Sensordaten). Es hilft dabei nicht zu argumentieren, MCAS mache jetzt nur einen einzelnen Eingriff und nicht wiederholend wie zuvor, was zu den beiden Crashs geführt hat, oder der Pilot könne nach dem MCAS-Eingriff ja korrigierend eingreifen, denn:
- aus Sicherheitsgründen kann MCAS sich an genau diesem Zeitpunkt nicht auf den Piloten verlassen, da der Pilot es ja zuvor nicht geschafft hat, diese kritische Fluglage (â??kurz vor Stallâ??) zu vermeiden. MCAS ist ja gerade speziell dafür ausgelegt die Steuerungseingaben des Piloten zu korrigieren (!). Und denjenigen, den man korrigiert, kann nicht gleichzeitig Backup im Systemfehlerfall sein. MCAS ist demzufolge wesentlich mehr als ein Assistenzsystem des Piloten. Der Autopilot hingegen ist â??nurâ?? ein Assistenzsystem.
- ein fehlerhafter Eingriff von MCAS kann grundsätzlich auch in der aktuellen Version mit nur einem einzelnen Eingriff direkt zum Verlust der Kontrolle des Flugzeugs führen.

Aus diesen Gründen müsste MCAS mit einer wesentlich höheren Fehlerfreiheit an AoA-Daten versorgt werden als z.B. ein Autopilot, was für das Funktionieren von MCAS essenziell ist. Die Daten aus 2 AoA-Sensoren kann aber für diese höhere Sicherheitseinstufung ohne Backup nicht ausreichend sein, denn die Sensordatenvalidierung muss hier deutlich leistungsfähiger funktionieren, bei False Positives wie bei inkonsistenten Sensordaten oder auch False Negative-Fällen. Oder anders: die Fehlerwahrscheinlichkeit von MCAS müsste deutlich härter spezifiziert sein als z.B. bei einem Autopiloten.

Ich vermute, diese oder ähnliche �berlegungen zur Ausfallwahrscheinlichkeit von MCAS und davon abgeleiteter Auslegungsanforderungen sind der Hintergrund für die EASA-Forderung nach einem 3. AoA-Sensor. Dafür bräuchte es m.E. gar keine politischen �berlegungen.

Also Fazit: entweder kennt jemand die Zulassungsbedingungen exakt und kann anhand der relevanten Paragraphen belegen, dass auch in diesem Fall das Grandfather-Prinzip gültig ist. Ansonsten ist rein aus sicherheitstechnischer Betrachtung ein 3. AoA-Sensor eigentlich obligatorisch. Die anderen bisher gefallenden relativierenden Argumente sind m.E. allesamt nicht stichhaltig, da hier sowohl die Sicherheitsbewertung von MCAS als auch die des Piloten konkret im Eingriffsfall sicherheitstechnisch nicht richtig bewertet worden sind. Aber gerne lasse ich mich eines besseren belehren, der dann aber tiefere Kenntnisse der 737-Systemarchitektur haben sollte.

Das die FAA bei der 3.AoA-Forderung zögert, hat m.E. eher wirtschaftlich-existenzielle Gründe bei Boeing:
Die Implementierung eines 3.SoA Sensors bedarf in jedem Fall, egal ob physikalisch oder simuliert, deutlich mehr Rechenleistung.
Selbst wenn sich FAA und EASA auf einen Kompromiß einigen, keinen vollwertig simulierten 3.AoA-Sensor in der Software zu implementieren, sondern zumindest die Sensordatenvalidierung der bestehenden beiden AoA-Sensoren fehlertoleranter auszulegen, indem z.B. eine komplexere Fluglage-Analysealgorithmus eingebaut wird, der neben aktuellen Faten ggf. auch alte Logdaten mit verwendet, wird Boeing das vermutlich aus Resourcengründen nicht mehr in den FMC implementiert bekommen.

Bei der Unfalluntersuchung der beiden Unfälle ist u.a. ja herausgekommen, dass die MCAS-Implementierung an sich schon eine extreme Herausforderung gewesen ist, weil der Computer eh schon in Ã?berlast läuft und schlicht keine weitere Rechenleistung und auch keine Datenspeicher mehr zur Verfügung stehen. In dem FMC der 737 arbeitet nach m. W. ein Motorola 68040 Mikroprozessor mit 60 MHz, 32MB Programmspeicher und 4MB RAM, mit Software basierend aus den 60er/70er Jahren in C und teilweise noch in Assembler. Diese Ressourcen sind angesichts der heutigen Funktionsumfangs des FMC erschreckend wenig. Gerade wegen des Grandfatherings kann diese Elektronikarchitektur aber nicht verändert werden. Oder anders: die Forderung nach einem 3.AoA-Sensor könnte eine Ã"nderung der gesamten Avionik und damit einer Neuzertifizierung gleichkommen als auch einer breiten Nachschulung für 737-Piloten. Damit könnte der 737-Businesscase an sich gefährdet sein und damit Boeings-Cashcow, die eine der wenigen Hoffnungen Boeings ist, finanziell wieder in besseres Fahrwasser zu kommen - eine unglaubliche Wirkkette, aber durchaus real.

Man sieht auch hier: der FMC ist leistungsmäßig bei der MAX weit über dem ursprünglichen Ziel hinaus, wofür er mal ausgelegt worden ist. Ein Schnitt wäre allerspätestens nach der 737NG erforderlich gewesen, nicht nur wegen des veralteten FMCs sondern auch des zu kurzen Fahrwerks, was letztendlich ja zu etwas kleineren und etwas weniger sparsamen Triebwerken (als bei der 320neo) mit nach vorne verlagerter Aufhängung geführt hat - mit den bekannten Auswirkungen auf die Aerodynamik, was MCAS zur Folge hatte, womit der FMC jetzt zu kämpfen hatâ?¦

So macht man kein Engineering sicherheitskritischer Systeme.




Dieser Beitrag wurde am 02.06.2025 01:53 Uhr bearbeitet.

Nur dejure mit dem Grandfather-Prizip ist eine MAX auch mit 2 AoA zulassungsfähig. �.


Wissen Sie das oder ist das eine Annahme?

MCAS ist eine signifikante Abweichung von der Flugzeugsteuerung, da diese in Abhängigkeit von AoA-Daten einen aktiven Eingriff in die Steuerung macht, egal ob Stabilizer oder Ruder. Und ob hier bzgl. des Umfangs notwendiger AoA-Sensorik das Grandfather-Prinzip 1:1 eingesetzt werden kann, halte ich für immer noch unklar, es sei denn, hier kennt jemand exakt die Zulassungsbedingungen und argumentiert nicht auf Vermutungen.

Meine alte Frage ist somit noch immer nicht beantwortet:
Was genau wurde technisch bei der Neuauslegung des MCAS verändert, so dass ein 3. AOA nicht mehr erforderlich sein soll?

Ich versuche dem mich mal mit Ingenieurwissen etwas zu nähern, ohne die konkreten Details der 737MAX zu kennen:
Bei allen vorherigen 737 gab es auch 3 AoA Sensoren (!): 2 physikalische, und die beiden Piloten als dritter. Bedeutet: wenn die Daten der beiden Sensoren voneinander abweichen, ist es die Aufgabe der Piloten, anhand der Kenntnis des Flugverlaufs, anderer Daten und der zuletzt vorgenommen Eingaben in Steuerung und Computer diese Daten zu Validieren und die korrekten Daten zu bestimmen.

Gleiches gilt bei auch, wenn der Flugsteuerung durch den 737-FMC übernommen wird. Da der FMC aber nicht die detaillierten Kenntnisse über die o.g. Faktoren hat und vor allem kein â??Popometerâ??, braucht der Computer die Daten des 3. Sensors, um in der Lage zu sein eine Validierung der Sensordaten überhaupt durchführen zu können.

Nun, jetzt mag einer kommen und sagen, mit dieser Begründung könne kein Autopilot auf einer 2-Sensor-Redundanz arbeiten, was aber ja seit Erfindung des Autopiloten Standard ist. Jetzt komme ich mit Ingenieurwissen aus der allgemeinen funktionalen Sicherheit für sicherheitskritische Systeme (ohne die Details in der Avionik zu kennen, aber die Grundsätze dürften genauso gelten) daher:

Der Autopilot arbeitet im Normalbereich üblicherweise außerhalb kritischer Fluglagen. Und wenns kritisch wird (oder er die Situation z.B. wegen inkonsistenter Sensordaten) nicht einordnen kann, disengaged er und übergibt an den Piloten.
MCAS hingegen ist dafür designed per Definition in einer kritischen Flugsituation einzugreifen, um einen drohenden Stall abzuwenden.
Oder allgemeiner: der Autopilot hat als Rückfalloption den Piloten, MCAS hat den nicht! Denn wenn MCAS an dem Punkt gekommen ist, eingreifen zu müssen, dann haben die Piloten bis hierhin es nicht vermocht, diese Situation zu vermeiden. Von daher ist es für die Einstufung der Sicherheitsklassifizierung unerheblich, ob die Piloten jetzt MCAS-trainiert sind oder eine solche kritische Fluglage häufig oder selten ist. MCAS muss fehlerfrei funktionieren, sollte es eingreifen müssen, auch wenn das nur einmal in 20 Jahren bei der 737MAX-Weltflotte vorkommt.

Aus dieser grundsätzlichen �berlegung heraus müsste MCAS eine höhere Einstufung erhalten als der Autopilot, weil eben der Pilot im Fall eines MCAS-Eingriffs als Rückfalloption wegfällt, wenn die Voraussetzungen für das Arbeiten von MCAS nicht gegeben sind (z.B. konsistente AoA-Sensordaten). Es hilft dabei nicht zu argumentieren, MCAS mache jetzt nur einen einzelnen Eingriff und nicht wiederholend wie zuvor, was zu den beiden Crashs geführt hat, oder der Pilot könne nach dem MCAS-Eingriff ja korrigierend eingreifen, denn:
- aus Sicherheitsgründen kann MCAS sich an genau diesem Zeitpunkt nicht auf den Piloten verlassen, da der Pilot es ja zuvor nicht geschafft hat, diese kritische Fluglage (â??kurz vor Stallâ??) zu vermeiden. MCAS ist ja gerade speziell dafür ausgelegt die Steuerungseingaben des Piloten zu korrigieren (!). Und denjenigen, den man korrigiert, kann nicht gleichzeitig Backup im Systemfehlerfall sein. MCAS ist demzufolge wesentlich mehr als ein Assistenzsystem des Piloten. Der Autopilot hingegen ist â??nurâ?? ein Assistenzsystem.
- ein fehlerhafter Eingriff von MCAS kann grundsätzlich auch in der aktuellen Version mit nur einem einzelnen Eingriff direkt zum Verlust der Kontrolle des Flugzeugs führen.

Aus diesen Gründen müsste MCAS mit einer wesentlich höheren Fehlerfreiheit an AoA-Daten versorgt werden als z.B. ein Autopilot, was für das Funktionieren von MCAS essenziell ist. Die Daten aus 2 AoA-Sensoren kann aber für diese höhere Sicherheitseinstufung ohne Backup nicht ausreichend sein, denn die Sensordatenvalidierung muss hier deutlich leistungsfähiger funktionieren, bei False Positives wie bei inkonsistenten Sensordaten oder auch False Negative-Fällen. Oder anders: die Fehlerwahrscheinlichkeit von MCAS müsste deutlich härter spezifiziert sein als z.B. bei einem Autopiloten.

Ich vermute, diese oder ähnliche �berlegungen zur Ausfallwahrscheinlichkeit von MCAS und davon abgeleiteter Auslegungsanforderungen sind der Hintergrund für die EASA-Forderung nach einem 3. AoA-Sensor. Dafür bräuchte es m.E. gar keine politischen �berlegungen.

Also Fazit: entweder kennt jemand die Zulassungsbedingungen exakt und kann anhand der relevanten Paragraphen belegen, dass auch in diesem Fall das Grandfather-Prinzip gültig ist. Ansonsten ist rein aus sicherheitstechnischer Betrachtung ein 3. AoA-Sensor eigentlich obligatorisch. Die anderen bisher gefallenden relativierenden Argumente sind m.E. allesamt nicht stichhaltig, da hier sowohl die Sicherheitsbewertung von MCAS als auch die des Piloten konkret im Eingriffsfall sicherheitstechnisch nicht richtig bewertet worden sind. Aber gerne lasse ich mich eines besseren belehren, der dann aber tiefere Kenntnisse der 737-Systemarchitektur haben sollte.

Das die FAA bei der 3.AoA-Forderung zögert, hat m.E. eher wirtschaftlich-existenzielle Gründe bei Boeing:
Die Implementierung eines 3.SoA Sensors bedarf in jedem Fall, egal ob physikalisch oder simuliert, deutlich mehr Rechenleistung.
Selbst wenn sich FAA und EASA auf einen Kompromiß einigen, keinen vollwertig simulierten 3.AoA-Sensor in der Software zu implementieren, sondern zumindest die Sensordatenvalidierung der bestehenden beiden AoA-Sensoren fehlertoleranter auszulegen, indem z.B. eine komplexere Fluglage-Analysealgorithmus eingebaut wird, der neben aktuellen Faten ggf. auch alte Logdaten mit verwendet, wird Boeing das vermutlich aus Resourcengründen nicht mehr in den FMC implementiert bekommen.

Bei der Unfalluntersuchung der beiden Unfälle ist u.a. ja herausgekommen, dass die MCAS-Implementierung an sich schon eine extreme Herausforderung gewesen ist, weil der Computer eh schon in Ã?berlast läuft und schlicht keine weitere Rechenleistung und auch keine Datenspeicher mehr zur Verfügung stehen. In dem FMC der 737 arbeitet nach m. W. ein Motorola 68040 Mikroprozessor mit 60 MHz, 32MB Programmspeicher und 4MB RAM, mit Software basierend aus den 60er/70er Jahren in C und teilweise noch in Assembler. Diese Ressourcen sind angesichts der heutigen Funktionsumfangs des FMC erschreckend wenig. Gerade wegen des Grandfatherings kann diese Elektronikarchitektur aber nicht verändert werden. Oder anders: die Forderung nach einem 3.AoA-Sensor könnte eine Ã"nderung der gesamten Avionik und damit einer Neuzertifizierung gleichkommen als auch einer breiten Nachschulung für 737-Piloten. Damit könnte der 737-Businesscase an sich gefährdet sein und damit Boeings-Cashcow, die eine der wenigen Hoffnungen Boeings ist, finanziell wieder in besseres Fahrwasser zu kommen - eine unglaubliche Wirkkette, aber durchaus real.

Man sieht auch hier: der FMC ist leistungsmäßig bei der MAX weit über dem ursprünglichen Ziel hinaus, wofür er mal ausgelegt worden ist. Ein Schnitt wäre allerspätestens nach der 737NG erforderlich gewesen, nicht nur wegen des veralteten FMCs sondern auch des zu kurzen Fahrwerks, was letztendlich ja zu etwas kleineren und etwas weniger sparsamen Triebwerken (als bei der 320neo) mit nach vorne verlagerter Aufhängung geführt hat - mit den bekannten Auswirkungen auf die Aerodynamik, was MCAS zur Folge hatte, womit der FMC jetzt zu kämpfen hatâ?¦

So macht man kein Engineering sicherheitskritischer Systeme.



Ich bin keine Ingenieurin, ich arbeite auch nicht für Boeing und ich kann Ihnen daher nicht mit einer Tiefenhermeneutik der 737-Systemarchitektur dienen. Ich habe im Laufe meines bisherigen Berufslebens allerdings Einiges über Unternehmenspolitik, Marketing und auch "richtige" Politik lernen können/ dürfen/ müssen - und vor diesem Erfahrungshorizont kann ich Ihnen versichern: Der CEO von Boeing würde sich mit sehr großer Wahrscheinlichkeit öffentlich nicht so weit aus dem Fenster lehnen wie er das hier tut und nicht nur die bevorstehende Zertifizierung von MAX 7 und 10 ankündigen sondern darüber hinaus auch noch die Eröffnung einer neuen Produktionslinie speziell für die MAX 10 in Everett, ohne dass dabei von FAA und/ oder EASA widersprochen wird, wenn da nicht etwas dran wäre. Was immer sie also bei Boeing gemacht haben oder auch nicht gemacht haben - dieses Ding ist "durch", die FAA wird ihren Stempel drunter setzen und die EASA wird "Amen" sagen, wenn vielleicht auch gemischt mit etwas nachträglichem rhetorischem Unbehagen. Causa finis. Und Boeing hat einen wesentlichen Schritt voran gemacht.

MCAS tut nix,was ein Pilot nicht auch könnte. Es arbeit nicht erst, wenn der Pilot nix mehr reißen kann. Es unterstützt genauso wie der Autopilot. Jetzt werden beide AOA verglichen. Gibts Abweichungen, ist der Pilot allein gefragt, aber nicht überfragt. Genau wie die letzten 65 Jahre.
Ein 3. AOA würde sicher das Sicherheitskevel erhöhen, kann hier maximal aber einen längeren Eingriff von MCAS bei Systemfehlern zulassen.
Nochmal,das Problem war die falsche Auslegung für den Fehlerfall. Das wurde korrigiert und fliegt jetzt in jeder -8 und -9 um die Welt...
Ã?brigens als Funfact, beheimat ist MCAS im FCC. Davon gibt es 2,wieder Linke Seite rechte Seite. Ergo auch 2x MCAS...

Das sehe ich ganz anders. Das System kann in die Flugsteuerung (wenn auch inzwischen weniger energisch) eingreifen und damit ist es grundsätzlich abzusichern. Diese Denkweise ist Grundlage der aktuellen Sicherheitsstatistik.

Bei dem LH A320 Unfall in Warschau kamen auch mehrere unwahrscheinliche Faktoren in einer bestimmten Kombination zusammen und führten zu dem bekannten Ergebnis. Airbus hat damals ihre Annahmen und Berechnungen der Logik mehr als Plausibel dargelegt und diese waren schlüssig und man hätte es durchaus auch vertreten können, die Logik so zu belassen (Bremsklappen und Reverser nur bei beiden MLG on Ground + Wheelspeed) aber es gab eben auch Kombinationen bei denen diese Logik nicht gut ist und darum hat das LBA damals auf eine Ã"nderung gedrängt. Und dieser Unfall hat sich so nicht wiederholt.
(Heute ist die Logik noch viel besser und unterscheidet mehrere Faktoren und reagiert entsprechende (Partial Ground Spoiler deploymment usw usw)

Und genau das gilt hier auch, auch wenn das veränderte MCAS weniger Gefährlich ist, so ist es immer noch ein System der Flugsteuerung und das ist abzusichern. Nur weil es jetzt einige Jahre gut gegangen ist, heißt es eben nicht, dass es sicher ist.
Und die Luftfahrt sollte tunlichst nicht in den Trott verfallen, 10 Jahre gut gegangen, alles ist gut. Die Vorgabe der EASA ist glasklar (3 Sensor für MAX10 und 7) und das ist auch richtig so. 346 Menschen sind gestorben, das sind 346 zu viel. Und das ist einer Zeit, in der die Flugzeuge sicherer und sicherer werden. Aus reiner Profitgier und da ist der 3te Sensor, rein aus Vertrauensgründen das mindestes.

Ich möchte nicht in ihrer Haut stecken, A320FAM, wenn sie als Wart irgendwann die Max releasen und das Ding kommt in Schwierigkeiten, weil mal wieder ein AOA rumspinnt. (Und glauben sie mir, die Kollegen den BFU stellen dann viele Fragen und das ganze ist niemals angenehm, auch wenn sie faktisch schuldfrei sind) Ich musste an mehreren solcher Befragungen als Behörden Verantwortlicher teilnehmen, die Befragten hatten Wochenlang schlaflose Nächte, auch wenn sie nix verkehrt gemacht haben. Die Selbstvorwürfe, die man da so mitbekommt, sind erschreckend.



Dieser Beitrag wurde am 02.06.2025 08:44 Uhr bearbeitet.

Streng technisch kann ich die Argumentation von @Weideblitz gut nachvollziehen. Eigentlich sind in der Max Techniken aus der elektronischen Steinzeit verbaut. Es ist geradezu ein Wunder das sie das ganze (abgesehen von MCAS Ursprungsversion) überhaupt noch funktionsfähig hin bekommen haben. Ohne die durch das Grandfatherprinzip auferlegten Beschränkungen hätte Boeing das bestimmt auch schon geändert.

In der Realität (selbst ohne den derzeit amtierenden Präsidenten) wird das aber so nicht berücksichtigt werden. Da stimmr ich @Nicci72 voll zu. Die Millionen unproblematischer Flüge seit der Ã"nderung sind ein zu großer Nachweis für eine erfolgreiche Ã"nderung. Gefragt, ob ich mich jetzt in eine MAX setzte, würde ich mit ja beantworten. Das Leben ist voller Gefahren und da ist eine MAX jetzt noch das geringste.

Ich bin kein 737 Engineer oder Techniker, ich ITler und wollte nur die Logik-Kette von A320Fam erklären.

Die ist:
1. nur 2 AoA ist riskanter als 3
2. es gibt keine technischen Hilfsmittel, die ein Ausfall eines AoA erkennen. der Pilot muss es erkennen.
3. das macht das Fliegen mit einer 737 riskanter als mit einem Flieger mit 3 AoA
4. auch heute noch kann das MCAS durch fehlerhafte Daten von einem AoA zu Fehlsteuerung führen.
5. Das erhöht aber nur geringfügig das Risiko abzustürzen bei einem AoA Ausfall mit MACS als zu ohne MCAS, weil:
- der MCAS Eingriff nun viel geringer ist
- MCAS bekannt ist und der Pilot weiss was es tun soll
- er die Fluglagen meiden sollte, in dem ehh ein MCAS benötigt wird
- er ehh getriggert sein sollte einen ev. Ausfall eies AoA zu prüfen und zu erkennen
- er einen fehlerhaften Eingriff des MACS erkenne sollte und dann es auch schnell deaktivieren kann.


Ich (also nicht A320Fan) denken, dass es generell nicht sinnvoll ist, ein System zu betreiben, was von einem fehleranfälligen System Daten erhält. Es ist viel schwieriger falsche Steuerimpulse am Ende eine Logik-Kette zu interpretieren als wenn man schon am Anfang die Messwerte bei der Weitergabe an eine Steuerung automatisch überprüft. Wenn bei 3 Sensoren einer 5, einer 3 und einer 2.95 misst, oder ein Sensor misst 5 und dann eine Sekunde später 15 und das geht gar nicht mit einem Flugzeug so schnell, ist es einfach zu sagen was das Problem sein könnte. Das kann eine Automatik checken. Wenn aber das Flugzeug auf einmal 0.1 Grad nach unten trimmt, kann das viele richtige oder falsche Ursachen haben.
Für mich widerspricht alleine, dass die beiden FMC sich nicht gegenseitig monitoren oder von einer Main-Unit gemonitort werden, dem Redundanz-Prinzip. Ja die FMC sind doppelt vorhanden aber es fehlt die Automatik, die den Ausfall/Fehler erkennt und auf das redundante System umschalten oder dem Pilot eine Warnung geben, damit der es prüft und umschaltet.



Dieser Beitrag wurde am 02.06.2025 12:39 Uhr bearbeitet.

Streng technisch kann ich die Argumentation von @Weideblitz gut nachvollziehen. Eigentlich sind in der Max Techniken aus der elektronischen Steinzeit verbaut. Es ist geradezu ein Wunder das sie das ganze (abgesehen von MCAS Ursprungsversion) überhaupt noch funktionsfähig hin bekommen haben. Ohne die durch das Grandfatherprinzip auferlegten Beschränkungen hätte Boeing das bestimmt auch schon geändert.

In der Realität (selbst ohne den derzeit amtierenden Präsidenten) wird das aber so nicht berücksichtigt werden. Da stimmr ich @Nicci72 voll zu. Die Millionen unproblematischer Flüge seit der Ã"nderung sind ein zu großer Nachweis für eine erfolgreiche Ã"nderung. Gefragt, ob ich mich jetzt in eine MAX setzte, würde ich mit ja beantworten. Das Leben ist voller Gefahren und da ist eine MAX jetzt noch das geringste.

Offen gesagt habe ich bis heute erfolgreich vermieden, in einer 737 MAX zu sitzen - und hoffentlich gelingt mir das auch in Zukunft. Nietzsches Motto "Lebe gefährlich!" war noch nie so wirklich das meine. Aber ich weiß aus meinen beruflichen Zusammenhängen solche Statements einzuordnen wie das hier des CEO von Boeing. Dieser hätte sich nicht vor eine Investorenkonferenz - das heißt also vor Leute mit viel Geld - gestellt und undementiert das gesagt was er gesagt hat, wenn es reines Geflunker wäre.

Neue Techniken sollten besser und perfekter funktionieren als alte. Ist aber zwangsläufig nicht immer so. Mir fällt dazu gerade ein das im Bahnverkehr früher und in Entwicklungsländern auch heute noch ein einfaches System zuverlässig verhindern kann das sich Züge im selben Gleis entgegen kommen.

Man gab dem richtigem Lokführer am Bahnhof ein Teil das ähnlich einem Tennisschläger ohne Bespanung war. Nur damit war er als Alleiniger berechtigt diese Strecke zu befahren.

In Deutschland hat es m. E. nach trotz Eletronik auf einspurigen Strecken mehrere Fäļle gegeben wo Züge zusammen stießen. Erinnerlich ist mir da vor allem ein Unglück der S-Bahn im Münchner Umland das nicht durch Elektronik verhindert wurde und viele Tote forderte.

@menschmeier
...

Alles richtig. Aber heisst das jetzt Sie betreten keine -8 oder -9 um zu fliegen?

Bei der Diskusion um die besagten Abstürze ging es seitens Boeing nicht um die AoAs sondern nur um MCAS. Damit hat man eine Diskussion um die veraltete Systemstruktur vermieden.

Hier kann man auch etwas zu MCAS etc. finden:
 http://www.b737.org.uk/mcas.htm
Mag sein, dass ich da etwas falsch verstanden habe.

@menschmeier
...

Alles richtig. Aber heisst das jetzt Sie betreten keine -8 oder -9 um zu fliegen?

Ja, so ist es, denn ich muss nicht mehr fliegen, wenn ich fliege, suche ich aktiv Airlines aus, die diese Muster nicht haben. Ich habe keinerlei Vertrauen in dieses Muster. auch wenn die Herabsetzung des Eingreifens eine gewisse Linderung zu sein scheint. Nach meinen Standards würde ich das nicht als Fix bezeichnen. Ein Fix, wäre der dritte Sensor. Aber Probleme wirklich zu lösen scheint nicht Boeing Stärke zu sein. Das Batterieproblem der B787 wurde auch nur in einen Stahlcontainer verfrachtet und nicht wirklich gelöst. Es kann das Flugzeug nicht mehr direkt beschädigen, aber es kann immer noch auftreten und in einem More-Electric Plane/All Electric Plane ist die Batterie nun mal die Last Line of Defense.

Vielleicht sind meine Standards zu hoch, aber das ist dann mein persönliches Problem.

@menschmeier
...
Vielleicht sind meine Standards zu hoch, aber das ist dann mein persönliches Problem.

Alles gut. Danke für Ihre immer wertigen, leider seltensten Kommentaren. ð???

Gern, alles Gute

Vielen Dank für die Entscheidungshilfe